Nordsec: Od pritiska klijenata do ISO 27001 spremnosti za reviziju za jednu nedelju

"Prešli smo od pritiska klijenata do spremnosti za reviziju za jednu nedelju, sa jasnim putem od početka do sertifikata."
Milica Petronijević, Nordsec

Kontekst klijenta

Nordsec je rastuća cybersecurity SaaS kompanija koja prodaje mid-market i enterprise klijentima. Njihov prodajni pipeline je bio jak, ali bezbednosni upitnici i nabavne provere počeli su da usporavaju ugovore u kasnoj fazi. Kupci su želeli dokaz o zrelom sistemu upravljanja bezbednošću informacija, ne samo dokumenta o politikama.

Izazov

Tim je imao dobre tehničke kontrole, ali mu je nedostajala struktura spremna za sertifikaciju:

• Politike su postojale u različitim alatima i formatima
• Odluke o tretmanu rizika nisu bile centralno dokumentovane
• Vlasništvo nad imovinom i tragovi dokaza bili su nekonzistentni
• Rukovodstvo je trebalo brz put koji neće prekinuti rokove za izdanja proizvoda

Trebala im je praktična ISO 27001 implementacija koja može brzo preći od planiranja do spremnosti za reviziju.

Šta smo implementirali

• Definisali obim ISMS-a oko produkcijskih sistema, tokova podataka klijenata i operacija podrške
• Mapirali vlasništvo nad Annex A kontrolama kroz inženjering, proizvod i operacije
• Konsolidovali politike u jedinstveni set dokumenata usklađen sa ISO 27001
• Napravili kontrolnu listu dokaza po kontroli sa jasnim vlasnicima i rokovima
• Održali sesije za pripremu revizije za rukovodstvo i vlasnike kontrola
• Podržali finalne odgovore pre faze sertifikacije

Vremenski okvir

• Dan 1: Početak, potvrda obima, mapa nedostataka, dodela vlasnika
• Dan 2-3: Konsolidacija politika, usklađivanje registra rizika i plana tretmana
• Dan 4-5: Prikupljanje dokaza kontrola i interne provere spremnosti
• Dan 6: Radionica pre revizije i korektivna podešavanja
• Dan 7: Završni pregled spremnosti za reviziju i paket za podnošenje

Rezultat

U roku od jedne nedelje, Nordsec je prešao iz režima reaktivnog pritiska klijenata u strukturirani operativni model spreman za ISO 27001.

• Dokumentacija i paket dokaza spremni za reviziju isporučeni za 7 dana
• Razgovori o bezbednosti i nabavci postali brži i predvidljiviji
• Timovi su dobili jasnoću uloga za kontinuirano upravljanje usklađenošću
• Rukovodstvo je dobilo ponovljiv sistem koji mogu održavati nakon sertifikacije

Sledeći korak

Ako vam prodajni ciklus blokira bezbednosne provere, fokusirani ISO 27001 sprint može brzo stvoriti momentum. Ključ nije samo brzina, već jasno vlasništvo, praktični tokovi rada za dokaze i samouverena priprema za reviziju.